Balancers’ $234K-Hack – und die Bug Family DeFi können nicht abgeschafft werden.

Am 31. August hat jemand einen Liquidity-Pool von Balancer leer gemacht.$234,000Der Wert von DPI, USDC, WETH und WBTC ergibt sich durch den Einzahlungsvorgang des entsprechenden Betrags an WBTC – also etwa einem Satoshi pro WBTC. Dieser geringe Betrag reicht aus, um…Mint: 4.408,8 Pool-TokenLaut der Sicherheitsfirma SlowMist wurde dieses Gut vom Angreifer gegen die echten Vermögenswerte des Pools ausgetauscht.

Es ist verlockend, das hier als „kleine Angelegenheiten, Kryptowährungen sind eben Kryptowährungen“ einzuordnen. Die Widerstandskraft ist der Schlüssel. Unter dem sechsfach großen Titelfaktor befindet sich genau die Schadsoftware, die im November mehr als 120 Millionen Dollar von Balancer abzog – und vier Monate später half sie dabei, das Unternehmen, das das Protokoll entwickelt hatte, aufzulösen. Die Version von 2026 ist also klein. Der Mechanismus ist nicht neu, und der Grund, warum er immer noch aktiv ist, sagt viel über die Risiken im Bereich DeFi aus. Lassen Sie mich Ihnen die Kette zeigen.

Wie man einen Pool für einen Satoshi kauft

Die ursprünglichen Pools von Balancer führen alle Berechnungen mit 18 Dezimalstellen durch. WBTC, der „wrapped-Bitcoin-Token“, ist ein Ziel des Angreifers. Er hat eine Größe von 8. Normalerweise ist das Missverhältnis nur eine kleine Abweichung, die niemand sieht. Doch der Angreifer brachte die Reserven von WBTC so weit herunter, dass sie fast null wurden. Dabei wurden zahlreiche Swaps durchgeführt, bei denen Lending an Spark, Aave, Morpho und Uniswap V3 verwendet wurden. Als die Reserven fast null waren, wurde die Rechnung für den „Join“-Vorgang im Vertrag so berechnet, dass das Ergebnis auf einen einzigen Satoshi reduziert wurde. Die Checks, die eine Depotgröße von Token-Werten ablehnen, wurden nur an anderen Stellen im Vertrag angewandt – nicht auf diesem Weg.

Dieser Schädling lebt in Balancer V1.Der Codebase von 2020 ist unveränderbar – sie kann nicht aktualisiert werden und wird auch nicht weiterentwickelt.Balancer wechselte im Jahr 2021 zu V2 und später zu V3. Die V1-Kontrakte blieben weiterhin auf der Kette – sie bewahrten das Geld, das die „Loner“ noch besaßen. Da es sich um eine der am meisten forkten Infrastrukturen im Bereich DeFi handelt, befindet sich auch die Abstimmung der Join/Exit-Prozesse in den Pools anderer Projekte. Sicherheitsforscher haben dies ebenfalls als Schwachstelle identifiziert. Anfang dieses Jahres wurden direkte Kopien des Codes auf Polygon in einem anderen Vorfall betroffen.

Es handelte sich auch nicht um ein Geheimnis. Sicherheitsforscher wiesen auf eine bestimmte Störung hin.GitHub-Fehlermeldung aus Januar 2020Das beschreibt im Grunde diesen Versagenmodus: niedrige Dezimalwerte, begleitet von schmalen Reserven, sowie die zu billige Ausgabe von Tokenn. Wissen kann einen unveränderlichen Vertrag nicht reparieren.

Drei Schläge – dieselbe Familie.

Der Ausdruck „gleiche Bug-Familie“ trägt hier eine wichtige Rolle – schließlich haben die Probleme bezüglich der Runde und Präzision bereits dreimal das System Balancer getroffen.

• August 2023.Ein Rundungsfehler in den „boosted Pools“ von V2 ermöglichte es Angreifern…Mehr als 2 Millionen Dollar ausgegeben.In wenigen Tagen nach der Bekanntgabe der Schwachstelle.
• 3. November 2025.Fehler bei der Richtung der Runde in den stabilen Pools von V2 – die „exakte Auswahl“-Prozedur führt in die falsche Richtung.Es wurden mehr als 120 Millionen Dollar ausgegeben.In weniger als dreißig Minuten über mehrere Ketten. SicherheitsfirmenDie am häufigsten zitierte Schätzung betrug 128,6 Millionen Dollar.Balancers’ eigene Buchhaltung ergab insgesamt Verluste von 121,1 Millionen Dollar.Der drittgrößte DeFi-Hack des Jahres 2025.
• 31. August 2026.V1. $234.000.

Ich liste sie auf – denn der Intervall ist die „Nachricht“ des Problems. Jede Lösung schützte die Version, für die sie entwickelt wurde, und ließ die Probleme, die hinter dieser Lösung lagen, ungeschützt zurück. Das Problem im November war seit Jahren in dem Code vorhanden. Eine Überprüfung hätte es vielleicht entdecken können.Relevante mathematische Aspekte liegen außerhalb des Umfangs.V1 wurde überhaupt nicht repariert – denn es ist einfach nicht möglich.

Was der große Streik mit dem Unternehmen gemacht hat

Der November-Hack ist nicht nur der Vorläufer dieses Hacks. Er ist auch der Grund dafür, dass es keine Unternehmen mehr gibt, die man als solche bezeichnen kann. Der gesamte verfügbare Wert wurde reduziert.Rund 775 Millionen bis etwa 300 Millionen.Unmittelbar danach. Bis zum Zeitpunkt, an dem die Unternehmensentwicklungsabteilung Balancer Labs im März 2026 aufgelöst wurde, war TVL bereits um etwa … gesunken.95 % von dem Höchstwert aus dem Jahr 2021 – etwa 3,5 Milliarden Dollar.– Rund 157 Millionen Dollar – während das BAL-Governance-Token in der Nähe von … gehandelt wurde.Allzeit-tiefste Werte bei etwa 0,15 $.Mit einem Marktwert von etwa 10 Millionen Dollar ist das Unternehmen eine Last für die Gesellschaft. Der Co-Founder Fernando Martinelli sagte, dass die Unternehmensstruktur eher zu einer Belastung geworden sei als zu einem Vorteil: Die Aktionen des Unternehmers haben reale und anhaltende rechtliche Probleme verursacht. Das Unternehmen erzielt außerdem kaum genug Umsatz, um diese Belastungen zu rechtfertigen.1 Million im jährlichen Betrag an GebührenÜber das vorherige Quartal.

Der Rettungsplan war äußerst ehrlich: Man sollte die Produktion von BAL vollständig stoppen, das veBAL-Lock-up-Programm auflösen – schließlich führte dieses Programm zu einer Art „kreisförmiger Bestechungswirtschaft“, wie Martinelli es nannte. Alle Protokolleinsätze sollten in die Staatskasse fließen, und die Token derjenigen, die ausstiegen wollten, sollten zurückgekauft werden. Was übrig bleibt, ist eine abgespeckte Organisation, deren Zukunft auf V3 beruht – einer Architektur, die diesen Fehler von vornherein behebt.18-Decimalen-präzision, explizite RundungsrichtungenFormale Überprüfung von Rückweg-Swaps.

Wer wirklich bezahlt?

Nun die wichtigste Stelle. Als das November-Angriffsszenario stattfand, zählte Balancer etwa…45,7 Millionen von den 121 Millionen VerlustenEs wurde von Sicherheitsteams, Stiftungen und „WhiteHats“ geschützt oder wiederhergestellt. Doch der Plan, den das DAO vorlegte, um das Geld an die betroffenen Liquidity-Provider zurückzugeben, war viel geringer – etwa…8 Millionen Dollar – bezahlt in denselben Währungseinheiten.Jede Pool-Basis – und nur bei den LPs innerhalb der Pools, bei denen tatsächlich Geld zurückgegeben wurde – erfolgt durch einen aktiven Antragprozess. Der Rest des Verlusts kommt an diejenigen, an denen Verluste normalerweise entstehen: an die Liquidity-Provider, in Proportion zu ihrem Anteil am Pool – nicht aufgrund ihrer Fehler.

Für die V1-Pool, der am 31. August entnommen wurde, gibt es nicht einmal einen Antragstermin. Keine Möglichkeit zur Upgrades, kein Unternehmen als Vertragspartner, keine Versicherung – das „Exploit“ ist einfach nur eine erlaubte Transaktion innerhalb des alten Codes. Das Geld ist aus den ältesten Verträgen auf dem Netzwerk verschwunden; die Kopien dieser Verträge befinden sich an einem anderen Ort – ebenfalls nicht unter Kontrolle.

Das Urteil

Die wichtige Lektion ist nicht, dass sechs Zahlen in der Kryptowährung nichts bedeuten. Im Gegenteil: Die Größe des Betrags, den durch einen Hackerangriff verloren geht, zeigt, wo sich das schwache Kapital befindet – nicht aber, wie gefährlich der Code ist. Ein Betrag von 234.000 Dollar und ein Betrag von 121 Millionen Dollar sind letztlich nur unterschiedliche Mengen an Geld, das durch einen Fehler verloren geht. Was sie voneinander unterscheidet, ist lediglich, dass der kleine Betrag in Code liegt, bei dem niemand etwas tun kann.

Das verändert die Frage nach der Sorgfalt, die man für eine bestimmte Anlage oder einen Pools mit Erträgen anwenden muss. Die alte Frage war: „Ist diese Anlage bereits überprüft worden?“ Die bessere Frage ist: „Kann diese Anlage repariert werden – und wer ist dafür verantwortlich, falls das nicht möglich ist?“ Die Überprüfungen haben diese Probleme jahrelang übersehen. Der älteste Code im Netzwerk ist nicht sicher – er ist vielmehr am anfälligsten, genau weil er nicht geändert werden kann. Der zuverlässigste Indikator für die Sicherheit eines Pools ist nicht die Anzahl der Überprüfungen, sondern ob noch jemand den Code pflegt – und was mit Ihrem Geld passiert, wenn sie aufhören zu pflegen.